使用Terraform创建GCP Bucket通知配置时遇403权限错误求助

你遇到的googleapi: Error 403: User not authorized to perform this action错误，核心原因是Terraform使用的GCP身份没有操作Pub/Sub Topic IAM策略的权限。以下是具体解决步骤：

1. 确认当前Terraform使用的身份 #

• 如果依赖本地gcloud认证，运行以下命令查看当前账号：

  gcloud config get-value account
  

• 如果使用服务账号密钥，检查Terraform配置中provider "google"块里credentials参数指定的服务账号邮箱。

2. 赋予必要的IAM权限 #

Terraform操作Pub/Sub Topic的IAM绑定需要两个核心权限：

• pubsub.topics.getIamPolicy：获取当前IAM策略
• pubsub.topics.setIamPolicy：设置新的IAM策略

最简单的方式是给目标身份授予roles/pubsub.editor角色（已包含上述权限），通过gcloud命令执行：

# 给用户账号添加权限
gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
  --member="user:YOUR_ACCOUNT_EMAIL" \
  --role="roles/pubsub.editor"

# 如果是服务账号，替换为serviceAccount类型
gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
  --member="serviceAccount:YOUR_SERVICE_ACCOUNT_EMAIL" \
  --role="roles/pubsub.editor"

3. 验证权限并重新执行 #

等待权限生效（通常几秒到几分钟）后，重新运行：

terraform apply

额外排查点 #

如果上述操作后仍报错，检查：

• 是否存在组织级别的IAM政策限制（比如禁止添加roles/pubsub.editor角色），需联系GCP组织管理员确认。
• 服务账号密钥是否有效，是否被删除或吊销。

内容的提问来源于stack exchange，提问作者Leroi